Danilo Leme Crespo (Foto: Alessandro Couto)

Danilo Leme Crespo[1]

Dalmo Ribeiro Filho[2]

Resumo: A proteção de dados pessoais é um tema cada vez mais recorrente na sociedade brasileira. Certo de que os conflitos sociais contemporâneos, por sua complexidade, exigiam um salto de qualidade normativa para além das antigas previsões voltadas à privacidade e intimidade, o Brasil, no século XXI, se ocupou de criar uma lei específica e abrangente sobre a proteção de dados pessoais. O caminho foi árduo, mas a conquista, embora tardia, colocou o país no seleto grupo daqueles que possuem uma legislação própria sobre o assunto. O presente artigo tem por objetivo maior retratar, cronologicamente, as passagens mais importantes desta história, a evolução legislativa que a seguiu e, sobretudo, as expectativas e inovações que impõem uma mudança de paradigma desafiadora à tão esperada Lei Geral de Proteção de Dados – LGPD.

Abstract: The protection of personal data is an increasingly recurring theme in Brazilian society. Certainly because contemporary social conflicts, because of their complexity, required a leap in normative quality beyond the old predictions of privacy and intimacy, Brazil in the twenty-first century was concerned with creating a specific and comprehensive law on data protection personal. The path was arduous, but the conquest, although late, put the country in the select group of those who have their own legislation on the subject. The main purpose of this article is to portray, chronologically, the most important passages in this history, the legislative evolution that followed it and, above all, the expectations and innovations that impose a challenging paradigm shift to the long awaited General Law on Personal Data Protection- LGPD.

I – CONSIDERAÇÕES INICIAIS; II – MARCOS HISTÓRICOS MUNDIAIS RELEVANTES SOBRE A PROTEÇÃO DA PRIVACIDADE (VIDA PRIVADA); III– A PRIVACIDADE (VIDA PRIVADA) COMO DIREITO FUNDAMENTAL NAS CONSTITUIÇÕES BRASILEIRAS; IV– A EVOLUÇÃO INFRACONSTITUCIONAL DA PROTEÇÃO DE DADOS PESSOAIS NO BRASIL; V – A NOVA LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS DO BRASIL; Vi – A Exposição de Motivos; Vii – Os vetos presidenciais e seus principais reflexos; Viii – As principais inovações e desafios da nova Lei Geral de Proteção de Dados Pessoais brasileira; VI – CONCLUSÃO; VII – BIBLIOGRAFIA

I – CONSIDERAÇÕES INICIAIS                                                     

Não há dúvidas que, desde as últimas décadas do século passado, a tecnologia se desenvolve a passos largos. Com o surgimento dos computadores e da informática, os seres humanos e, principalmente, as corporações empresariais passam, cada vez mais, a ter a necessidade de registrar, armazenar e manipular dados.

A importância e utilização de dados pessoais para as mais variadas atividades – identificação, classificação, autorização e tantas outras – os transformou num elemento essencial para o mercado e, sobretudo, para que a pessoa consiga se mover, com autonomia e liberdade, nos corredores do que hoje se denomina “sociedade da informação”[3].

Os dados pessoais se tornaram, rapidamente, um dos grandes atrativos do mundo moderno, já que a identificação dos indivíduos, seus gostos, preferências, necessidades e desejos passaram a integrar uma fonte lucrativa para os grandes negócios e, como tal, alvo dos empreendedores capitalistas, sempre ávidos pela coleta contínua e direta das informações.

No Brasil, a última Pesquisa TIC Domicílios[4], realizados no ano de 2016, apurou que aproximadamente 107,9 milhões de pessoas utilizam a Internet e que o percentual de domicílios com acesso à rede, em algumas regiões do país, alcançou 64%. As compras realizadas pelo “comércio eletrônico” já superam as tradicionais[5], inclusive em faturamento. Além disso, a grande maioria das instituições públicas e empresas privadas já automatizaram seus sistemas de coletas de dados, aumentando, progressivamente, a possibilidade de vazamentos e até mesmo de desvio de finalidade.

Por mais que este fluxo de dados seja uma realidade dos novos tempos, ele potencializa, em última análise, a possibilidade de infração a direitos fundamentais. E se o risco de violação e divulgação de dados pessoais é uma constante, cabe ao Estado, na esfera de seu poder-dever, desenvolver uma proteção moderna, específica e eficiente sobre o tema.

Se, por um lado, o avanço tecnológico é fator de dinamização da vida e evolução social, por outro o Direito, como ciência, precisa dar resposta aos conflitos cotidianos, cada vez mais complexos. Como não poderia deixar de ser, cresce a preocupação legislativo-regulatória dos bancos de dados e seus desdobramentos correlatos.

Conquanto a Constituição Federal do Brasil proteja o direito à privacidade, intimidade e o sigilo das informações pessoais, bem como tenha legislações fragmentadas e esparsas que, em maior ou menor grau, alcançam a proteção de dados pessoais, a sociedade ansiava por uma lei própria para suprir todas as lacunas existentes, quer no tocante à captação das informações, à confidencialidade ou, ainda, à responsabilização de eventuais protagonistas infratores.

Nesse contexto, surge no Brasil a recente e tão aguardada Lei Geral de Proteção de Dados Pessoais-LGPDP, promulgada em 14 de agosto de 2018, objeto maior do presente trabalho e que será abordada mais à frente, em tópico específico.

II – MARCOS HISTÓRICOS MUNDIAIS RELEVANTES SOBRE A PROTEÇÃO DA PRIVACIDADE (VIDA PRIVADA)

Um dos marcos históricos mais relevantes sobre o tema deve ser atribuído ao advogado Samuel D. Warren e ao juiz Louis Brandeis que, juntos, escreveram em dezembro/1890, de forma precursora e explícita, o artigo intitulado “Right to Privacy” (O Direito à Privacidade)[6], que já evidenciava, naquela época, a relevância de proteger os direitos dos cidadãos.

Publicado na conceituada Harward Lo Review, o artigo afirma que as mudanças políticas, sociais e econômicas vividas pela Common Law implicaram no reconhecimento e amadurecimento de novos direitos para atender demandas voltadas à privacidade. Três casos emblemáticos da época influenciaram tal estudo: Marins Manola x Stevens & Myers (1890) [7]; Prince Albert x Strange (1849)[8] e; Pollard x Photografic Co (1888)[9].

Em 1905, apenas 15 anos após a publicação do artigo, já houve o primeiro caso prático julgado, fundamentalmente, na existência de um Direito à Privacidade, a saber: Pavesich x England[10]. Além da Suprema Corte da Geórgia reconhecer a existência do citado Direito à Privacidade, ainda citou o artigo “Rigth to Privacy”, tornando-o um verdadeiro divisor de águas sobre o tema e disseminando-o mundialmente.

Nessa cronologia mais longínqua, há outras passagens que também demarcaram o direito à privacidade (vida privada) e que merecem registro, pois interferiram nas legislações que se seguiram:

Como se vê, ainda que forma incipiente, já existia, mormente a partir da segunda metade do século passado, um contexto social que se voltava à uma atuação legislativa proativa para garantia da intimidade e privacidade dos indivíduos. Tais diretrizes foram recepcionadas pelo legislador brasileiro que, acertadamente, não tardou a dar tratamento constitucional ao tema, evoluindo, no ano de 1988, ao patamar de direito fundamental, protegido por cláusula pétrea.

III– A PRIVACIDADE (VIDA PRIVADA) COMO DIREITO FUNDAMENTAL NAS CONSTITUIÇÕES BRASILEIRAS

Todas as Constituições Federais brasileiras trataram, com base nas especificidades de seu tempo, de questões relativas ao direito à privacidade:

A evolução legislativa fica nítida, se iniciando com a inviolabilidade de domicílio e sigilo das correspondências; perpassando à proteção da intimidade, privacidade, honra e imagem; e salvaguardando, igualmente, a confidencialidade dos dados, aí entendida a informação em estado lato, transmitida ou não.

Importante advertir que, conceitualmente, intimidade e privacidade não se confundem, embora tal distinção não tenha tanta relevância para os limites deste estudo. Em linhas gerais, a intimidade está representada por uma zona mais reservada e delicada em relação à privacidade, mas, no Brasil, esta dicotomia se torna desimportante, já que ambas possuem a mesma previsão constitucional.

O artigo 5º, XII da Constituição “Cidadã” brasileira, que determina o sigilo dos dados, deve ser interpretado sistematicamente com o seu inciso X, que trata da inviolabilidade da intimidade e vida privada, assegurando, inclusive, indenização por dano material ou moral em caso de violação a este direito.

Em verdade, o que se pretende proteger é a esfera particular do indivíduo contra intromissão de terceiros, sejam eles pessoas físicas, jurídicas ou o próprio Poder Público.  Dito de outro modo, trata-se, a um só tempo, de um dever de abstenção (não invasão à privacidade) e, curiosamente, de um dever de ação (garantia de mecanismos de defesa para impedir lesões).

Ocorre que, ao longo dos anos, especialmente com a chegada do Século XXI, esse risco de invasão à privacidade se multiplicou. A coleta de informações, sobretudo por meio da utilização de computadores e softwares próprios, possibilitou uma “publicização” de relações que, antes, eram efetivadas de forma interpessoal, entre atores conhecidos e pautada na confiança.

Os perfis dos cidadãos (consumo, crença, política, comportamentos, relacionamentos, personalidade, etc.) passaram, mais do que nunca, a atrair a cobiça de vários setores da sociedade. A propósito, este é o momento em que a proteção começa a ganhar ainda mais relevo mundial. Surge a necessidade de uma maior maturação legislativa pelo Estados, de modo a criar normas mais específicas e aderentes à proteção dos dados pessoais.

IV– A EVOLUÇÃO INFRACONSTITUCIONAL DA PROTEÇÃO DE DADOS PESSOAIS NO BRASIL

Como se sabe, a produção legislativa brasileira sobre a proteção dos dados pessoais se iniciou de forma tardia e com pouca efetividade. Muito antes do Brasil destinar atenção especial ao tema, a Europa e os Estados Unidos já haviam iniciado suas criações legislativas para o Poder Público regular a proteção de dados pessoais informatizados, ainda que de modo mais abstrato.

Na década de 70, surgem algumas normas de proteção sobre dados pessoais, como a Lei Hessen alemã (1970), a Lei de Dados sueca (1973), o Estatuto alemão de Proteção de Dados de Rheinland-Pfalz (1974), a Lei Federal de Proteção de Dados alemã (1977) e a Lei Francesa de Proteção de Dados Pessoais (1978)[21]. Nos Estados Unidos da América foi editado o Fair Credit Reporting Act (1970) e o Privacy Act (1974). Em 1976, Portugal foi o primeiro país a estabelecer, no artigo 35 de sua Constituição, o direito fundamental à autodeterminação informativa[22].

Com o tempo, a tutela dos dados pessoais foi se aperfeiçoando. A partir da década de 80, quando os bancos de dados começaram a se proliferar, percebeu-se que as legislações careciam de instrumentos efetivos para garantir uma real proteção dos indivíduos, pois existia uma grande disparidade de forças entre o cidadão lesado e as entidades coletoras infratoras, além da inexistência de um farto acervo doutrinário-jurisprudencial.

A Convenção 108 do Conselho da Europa (1981)[23] e a Diretiva 46 da União Europeia (1995)[24] foram extremamente relevantes para consolidar a tutela dos dados pessoais, assim como no ano de 2000, a Carta dos Direitos Fundamentais da União Europeia[25] avançou e definiu, com precisão, que todas as pessoas têm direito à proteção dos dados pessoais que lhe digam respeito, os quais devem ser objeto de um tratamento leal, para fins específicos e com consentimento do interessado, possibilitando-se, inclusive, a respectiva retificação, quando (e se) necessária.

No Brasil, somente no ano de 1999 teve início a criação legislativa própria sobre a estrutura e o uso de banco de dados, seguida de outros projetos que tramitam há anos nas casas do Congresso Nacional sem previsão de aprovação ou, ainda, que foram rejeitados em seu inteiro teor ou declarados prejudicados em razão da promulgação da Lei Geral de Proteção de Dados Pessoais (13.709/19). O quadro abaixo é elucidativo:

Embora a expectativa por uma lei típica, como se viu, não tenha sido exitosa, o Brasil, por muito tempo, teve de utilizar outras legislações e codificações, esparsas e fragmentadas, para solucionar conflitos oriundos da privacidade de dados pessoais, o que sempre exigia um grande exercício hermenêutico de integração normativa.

Além dos dispositivos constitucionais já mencionados, o Código Penal brasileiro protege a vida privada ao definir que a divulgação não consentida de fatos, imagens e áudio pode ser interpretada como difamação ou injúria (artigos 139[36] e 140[37]). Também poderá ser enquadrado em crime o material que contiver cena de nudez, sexo, ato libidinoso (artigo 216-B[38]) ou pornografia infantil (artigo 241-A[39]).

Outros crimes correlatos também são previstos: inviolabilidade de domicílio (artigo 150[40]), de segredos (artigo 153[41]) ou de correspondência (artigo 151[42]). No mesmo sentido, deve responder pela pena de detenção quem impede ou dificulta o acesso do consumidor às informações que sobre ele constem em cadastros, bancos de dados, ficha ou registros (artigo 72[43]), ou que deixe de corrigi-las de forma imediata (artigo 73[44]).

No ano de 2012, o Brasil promulgou a Lei 12.737 (apelidada de “Lei Carolina Dieckmann)[45], face a um escândalo de vazamento de fotos íntimas da referida atriz. Passou-se a punir, então, invasão a dispositivos informáticas alheios e divulgação de dados privados, com o acréscimo do artigo 154-A[46] no Código Penal.

Mudando o enfoque para o campo civil, a antiga Lei das Telecomunicações (9.472/97) resguarda os direitos de privacidade e intimidade, especialmente em documentos de cobrança e dados manejados pelo prestador de serviço[47].

O Código Civil Brasileiro (Lei 10.406/2002), na mesma direção, também trata dos direitos à personalidade e inviolabilidade da vida privada (artigo 20[48]). Por sua vez, o Código de Defesa do Consumidor (Lei 8.078/90) prevê que o consumidor deve ser avisado por escrito a respeito da coleta para abertura de fichas e cadastros, garantindo, também, o acesso às informações pessoais, a sua correção e eventual atualização (artigo 43[49]).

Mais recentemente, a Lei 12.414/11[50] disciplinou o cadastro positivo, que é um banco de dados criado para garantir facilidades aos bons pagadores. Entre os principais direitos, ressaltam os seguintes: (a) utilização dos dados pessoais de acordo com a finalidade para a qual houve a coleta; (b) conhecimento sobre os elementos e critérios utilizados na análise de risco e; (c) compartilhamento somente com autorização do cadastrado, por meio de assinatura em termo específico.

Sobre a disciplina de acesso às informações públicas, a Lei 12.527/11[51], pela primeira vez, determina a designação de um responsável pela supervisão de seu cumprimento (Comissão Mista de Reavaliação de Informações), integrada pelos titulares dos seguintes órgãos: (i) Casa Civil da Presidência da República; (ii) Ministério da Justiça; (iii) Ministério das Relações Exteriores; (iv) Ministério da Defesa; (v) Ministério da Fazenda; (vi) Ministério do Planejamento; (vii) Secretaria dos Direitos Humanos; (viii) Gabinete de Segurança Institucional; (ix) Advocacia-Geral da União e; (x) Controladoria Geral da União.

O Marco Civil da Internet (Lei 12.965/2014)[52], a despeito de críticas e limitações, denota a transformação do pensamento e os esforços do legislador brasileiro para regulamentar o uso da Internet com o estabelecimento de princípios, garantias, direitos e deveres. Na oportunidade, o legislador houve por bem sedimentar a proteção à privacidade e trouxe um capítulo exclusivo para a salvaguarda dos dados pessoais, cuja aplicação, contudo, depende do uso da internet. Ainda que a referida lei não estivesse voltada, fundamentalmente, à autonomia dos dados pessoais, sua contribuição foi de grande valia.

A referida lei reafirma que qualquer operação de coleta, armazenamento, guarda e tratamento de registros por meio da Internet, de dados pessoais ou de comunicações por provedores de conexão, deverá respeitar os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas dos registros. Em caso de inobservância a tais preceitos, os provedores ficarão sujeitos às penas de advertência, multa, suspensão temporária e proibição do exercício da atividade.

Por mais que seja um avanço o estabelecimento de parâmetros para as relações oriundas da Internet, isto não era o bastante. Assim como ocorreu com o Regulamento 2016/679 da União Europeia, o Brasil precisava consolidar, em uma lei própria de maior amplitude, a proteção dos dados pessoais como um todo, especificamente no que tange à coleta, boas práticas, tratamento (sobretudo dos dados sensíveis) pelo particular ou poder público, controle, segurança, governança, responsabilidades, dentre outros.

Com a cobrança social e a recorrência de escândalos de vazamentos dados (como o do Facebook, em 2016), estava traçado, então, o caminho fértil para legitimar um novo modelo normativo para proteção dos dados. O tema, no ano de 2012, virou pauta prioritária nas casas legislativas do congresso brasileiro e, como se verá no próximo tópico, um projeto de origem na Câmara dos Deputados transformou-se na nova Lei Geral de Proteção de Dados Pessoais-LGPDP brasileira, promulgada pelo Presidente da República em maio/18.

V – A NOVA LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS DO BRASIL

Vi. A Exposição de Motivos

A nova Lei Geral de Proteção de Dados Pessoais brasileira (Lei 13.709/18)[53], que altera parcialmente o Marco Civil da Internet (Lei 12.965/2014)[54], foi fruto do Projeto de Lei na Câmara dos Deputados (PL 4060/12)[55], de iniciativa do deputado Milton Monti, posteriormente aprovada no Senado Federal (PLS 53/18)[56] e recentemente promulgada pela Presidência da República, com alguns vetos.

Na exposição de motivos, o Relator, de forma didática, evidencia os principais aspectos que deram ensejo à criação legislativa:

“O tratamento de dados é hoje uma realidade cada vez mais presente em nosso cotidiano, especialmente quando experimentamos o avanço da tecnologia da informação, em especial a internet e suas aplicações nas mais diversas áreas de nossa vida em sociedade… Dentro dessa realidade, se faz necessário estabelecer normas legais para disciplinar tais relações, especialmente para dar proteção à individualidade e a privacidade das pessoas, sem impedir a livre iniciativa comercial e de comunicação… as linhas mestras das conclusões dos debates indicaram a necessidade de um marco regulatório para disciplinar essa atividade”

Em linhas gerais, o projeto de lei se divide em três capítulos. O primeiro capítulo trata das disposições gerais, enunciando seus princípios norteadores, estabelecendo as definições legais e delimitando o escopo de abrangência, aí entendido o tratamento de dados realizados em território nacional, ainda que o banco esteja armazenado em território estrangeiro.

O segundo capítulo dispõe sobre os requisitos para tratamento dos dados pessoais, exigindo que os responsáveis pelo tratamento dos dados adotem medidas tecnológicas, proporcionais ao estado atual da tecnologia, e que minimizem os riscos de acesso não autorizado ou de perda de dados dos titulares. Os dados pessoais poderão ser processados, desde que respeitada a lealdade, boa-fé e observado o legítimo interesse dos titulares.

Quanto aos dados sensíveis – definidos como aqueles relativos à origem social e étnica, à informação genética e outros aspectos pessoais – o tratamento em banco de dados públicos ou privados só poderá ocorrer mediante prévia autorização do seu titular, assim como o repasse à terceiros poderá ser impedido mediante manifestação do interessado.

Por fim, o capítulo terceiro relaciona o direito dos titulares de dados e prevê, a qualquer momento, não só o bloqueio do tratamento das informações pessoais, mas também o amplo acesso à política de privacidade dos responsáveis por este tramento. Engloba, ainda, a tutela fiscalizatória e sancionatória, com penalidades e sansões aos infratores. Abre, também, a possibilidade de criação de “Conselhos de Autoregulamentação” da matéria por parte de instituições representativas do setor.

O debate mencionado no discurso do Relator teve a participação de diversos especialistas no assunto, de instituições públicas e privadas e de representantes da sociedade. Após as necessárias audiências públicas e emendas legislativas de aprimoração, o texto final passou por votação plenária e foi aprovado por unanimidade

Vii. Os vetos presidenciais e seus principais reflexos

Ao apreciar o texto final do projeto da Lei Geral de Proteção de Dados Pessoais, o Presidente da República, com base no § 1^o do art. 66 da Constituição Federal, decidiu pelo veto parcial de alguns dispositivos, ao argumento de que eram contrários ao interesse público e/ou violavam a constitucionalidade.

Com exceção das sanções administrativas e da criação de uma autoridade nacional de fiscalização, os vetos[57], em sua maior parte, atingiram os artigos que, na visão do Poder Público, o não compartilhamento dos bancos de dados inviabilizaria o regular exercício das atividades administrativas dos Estados e Municípios. O quadro abaixo especifica o texto vetado e as suas respectivas justificações:

Embora a delimitação do presente trabalho não comporte maiores incursões teóricas sobre os vetos, algumas breves ponderações merecem destaque. Primeiramente, a Rede de Transparência e Participação Social-RETPS[58], constituída, por organizações da sociedade civil e cidadãos, para ampliar a transparência do Poder Público, criticou, duramente, a supressão do inciso II do artigo 23, posto que prejudicial ao direito à informação.

A intenção do mencionado dispositivo era dar proteção e confidencialidade sobre a identidade do solicitante de informações, colmatando uma lacuna da “Lei de Acesso à Informação – 12.527/11”. Esta medida asseguraria a privacidade dos cidadãos, os quais, muitas vezes, se sentem constrangidos na publicidade do pedido, já que os servidores públicos, cientes que de que as informações provavelmente serão utilizadas em futura denúncia ou ação judicial, respondiam de maneira indevida e, pior, algumas vezes com intimidações e ameaças.

De igual modo, a supressão do artigo 28 também é relevante, já que ele obrigava as instituições públicas a darem publicidade caso fossem comunicar ou compartilhar dados com outros órgãos da Administração, o que denota total falta de transparência, pois a maioria dos cidadãos sequer sabem do exercício de tais compartilhamentos, muito menos a real finalidade.

Quanto às sanções, os infratores, com o veto aos três incisos do artigo 52, podem apenas sofrer advertência, multa simples,  multa diária, bloqueio dos dados pessoais a que se refere a infração e publicidade da reprimenda, mas não haverá suspensão parcial do funcionamento do banco de dados ou do exercício da atividade de tratamento por 6 meses, tampouco a proibição do exercício do tratamento. Ou seja, a punição ficou mais branda, o que também pode reduzir o seu caráter pedagógico-preventivo (“ex ante”).

Mas, sem dúvida alguma, as maiores críticas, até então, recaíam sobre o veto ao lúcido artigo 55, que criava a Autoridade Nacional de Proteção de Dados-ANPD com o papel de harmonizar, na prática, a implementação da lei, e fiscalizar a proteção dos dados pessoais, além de elaborar diretrizes para inaugurar uma “política nacional de proteção de dados”. O singelo argumento do veto foi que havia vício de iniciativa, uma vez que o Legislativo não poderia criar a entidade, vinculada ao Ministério da Justiça, pois tal legitimidade recai apenas ao Executivo.

Em razão do enorme clamor social, a Presidência da República, em 27 de dezembro de 2018, solucionou a questão e criou, por meio de Medida Provisória 869[59], a Autoridade Nacional de Proteção de Dados-ANPD, órgão com expressiva representatividade para a garantia do efetivo cumprimento da legislação, em todos os seus termos.

Viii. As principais inovações e desafios da nova Lei Geral de Proteção de Dados Pessoais brasileira

A Lei 13.709/18, promulgada pela Presidência da República no dia 14 de agosto de 2018, coloca o Brasil, ainda que tardiamente, num seleto grupo de países que têm em seu sistema normativo um regulamento geral de proteção de dados. Na verdade, o único benefício desta lentidão legislativa é que o Brasil pôde se valer da experiência de outros países, sobretudo os europeus, para criar uma lei ampla, atual e aderente aos entreveros atuais da pós-modernidade.

Ela não se sobrepõe ao Marco Civil da Internet, tampouco o revoga. Ao contrário, a Lei Geral de Proteção de Dados Pessoais divide o palco com o Marco Civil nas relações firmadas pela internet e, para as demais, atua como protagonista principal. Tanto é assim que o artigo 64[60] da Lei Geral de Proteção de Dados Pessoais menciona que seus direitos e princípios não excluem outros previstos no ordenamento jurídico pátrio, sobre o mesmo tema.

Esta lei própria, reconhecidamente inspirada no Regulamento 2016/679 da UE, traz benefícios não só à prevenção de lesão a direitos fundamentais preestabelecidos, como a privacidade, a intimidade e a dignidade da pessoa humana. Ela também serve para potencializar e viabilizar as relações externas do Brasil com aqueles países que, para estabelecer negócios, exigem da contraparte um arcabouço normativo próprio e eficaz sobre a proteção de dados pessoais.

De agora em diante o Brasil passa a ter uma lei especial que regulamenta, dentre outras questões, a coleta e tratamento de dados, inclusive estabelecendo punições gradativas, e severas, aos infratores. O período de vacatio legis (24 meses) é suficiente para maturação social e para que as instituições, públicas e privadas, façam as devidas adaptações em seu modo de agir.

As novas regras se aplicam a pessoa natural ou a pessoa jurídica de direito público ou privado cujo objetivo seja a oferta ou o fornecimento de bens e serviços, desde que a operação de tratamento seja realizada no território nacional, independentemente do meio, do país da sua sede ou do país que estejam localizados os dados. Ou seja, valem para a coleta de dados realizadas em território brasileiro, mesmo que a empresa seja estrangeira, e ainda que o tratamento seja feito no exterior.

Todavia, não se aplicam a pessoa natural que realiza a operação exclusivamente para fins particulares e não econômicos; jornalísticos, acadêmicos, segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais.

O consentimento do titular é essencial para tal coleta e o cidadão precisa saber, de forma clara e objetiva, quais as informações serão armazenadas e para qual finalidade haverá o compartilhamento. Se houver envolvimento de menores de idade, o consentimento cabe aos pais ou responsáveis legais.

Nota-se que deve ser facultado ao titular dos dados pessoais a concordância (ou não) em ceder as suas informações, permitindo, assim, a coleta, armazenamento e tratamento. Este consentimento trata-se de um elemento que valida a atividade, devendo o cidadão estar ciente, ainda, sobre a destinação que será atribuída aos dados e, quando couber, se serão combinados com outras informações para formação de perfil analítico, permitindo, assim, a monitorização permanente do indivíduo[61].

Havendo mudança de finalidade, um novo consentimento deverá ser obtido, podendo o usuário, sempre que desejar, revogar a autorização concedida, ou, ainda, a correção ou complementação dos dados. Se, porventura, houver invasão de dados, os indivíduos deverão ser imediatamente notificados. E se encerrada a relação jurídica entre empresa e cliente, os dados devem ser excluídos, obrigatoriamente.

Para facilitar a identificação de cada um dos sujeitos, seus direitos e obrigações, a Lei Geral de Proteção de Dados Pessoais, acertadamente, definiu a figura do “Titular”, que é a pessoa a quem se refere os dados. Também conceituou o “Controlador”, responsável pelo tratamento dos dados e o “Operador”, quem trata os dados sob a ingerência daquele. Em conjunto, “Controlador” e “Operador” são “Agentes de Tratamento”.

Isto faz com que as empresas previamente definam, em suas estruturas, cada um dos atores, os quais também conhecerão, de forma segregada, os seus limites de atuação e as sanções correlatas. Na comunicação entre “Controlador” e “Usuários” (titulares dos dados pessoais), pode haver o “Encarregado”, que atua na disseminação e monitoramento de boas práticas, bem como na intermediação com a Autoridade Nacional de Proteção de Dados.

Caberá aos “Agentes de Tratamento” manter todo o registro da operação, elaborando o chamado Relatório de Impacto à Proteção de Dados Pessoais, no qual constará (i) a metodologia utilizada para coleta; (ii) os fundamentos da coleta; (iii) a descrição das espécies de dados coletados, tudo visando a segurança das informações e a futura análise do “Controlador” sobre a efetividade das medidas.

Visando evitar lacunas ou subversão hermenêutica, a Lei Geral de Proteção de Dados Pessoais, à exemplo do Marco Civil da Internet, definiu que “dados pessoais” são informações relacionadas à pessoas naturas identificadas ou identificável e que “dados pessoais sensíveis” definem origem racial ou étnica, convicção religiosa, opinião política, etc, merecendo, por tais especificidades, uma proteção diferenciada, com restrição ainda maior de coleta e tratamento.

Tanto para os “dados pessoais” como para os “dados pessoais sensíveis”, a lei estabelece o direito de portabilidade, segundo o qual o titular pode solicitar o envio a outros “controladores”, resguardados os segredos de negócio, o que exige um padrão mínimo estrutural de armazenamento, possibilitando que a troca de informações possa ser realizada de forma satisfatória, a fim de atender interesse da parte.

Havendo infrações às normas previstas na Lei, os “Agentes de Tratamento” (“Controlador” e “Operador”), a depender da gravidade de sua conduta, ficarão sujeitos às penalidades do artigo 52, a saber: (a) advertência, com indicação de prazo para doção de medidas corretivas; (b) multa simples, de até 2% do faturamento, limitada a R$ 50.000.000,00 (cinquenta milhões de reais); (c) multa diária, observado o limite do item anterior; (d) publicização da informação; (e) bloqueios dos dados pessoais até a regularização e; (f) eliminação dos dados pessoais a que se refere a infração, sem prejuízo de indenização por perdas e danos.

Sobre a efetividade da fiscalização e punição, espera-se que a Autoridade Nacional de Proteção de Dados (ANDP) tenha total autonomia de atuação, ainda que vinculada, com a Medida Provisória, à Casa Civil da Presidência da República. Sem dúvida alguma, um órgão de tamanha magnitude não pode ser alvo de desfaçatez velada em benefício do Poder Público e/ou das entidades privadas. O futuro próximo – e a real postura do Executivo – aquilatarão a seriedade que o Estado verdadeiramente credita à nova Lei Geral de Proteção de Dados Pessoais.

Deturpar a finalidade da Autoridade Nacional de Proteção de Dados, ou dificultar o seu poder fiscalizatório-punitivo, faria com que a Lei Geral de Proteção de Dados Pessoais desse eco ao triste jargão da “lei que não cola” ou que “nasceu morta”, num enorme retrocesso a um Estado de Direito que se intitula como democrático. Este, aliás, um dos grandes desafios que se coloca, e que deve ser acompanhado de perto pela sociedade.

É preciso que um modelo rígido de vigilância exija das empresas diversas mudanças, tais como a implementação de um sistema de gestão eficiente e contínuo, além da organização de uma equipe multidisciplinar, que contemple as figuras da nova lei, de modo a integrar as diferentes necessidades de adequação. A política de segurança também deve ser reestruturada com uma nova metodologia que propicie maior proteção ao tratamento de dados, definindo, inclusive, as diretrizes de atuação em caso de vazamento ou mau uso das informações.

Tudo isso, somado à existência de uma autoridade de proteção de dados é, ao menos na teoria, um claro demonstrativo de transparência e respeito aos titulares dos dados pessoais e, igualmente, de vigilância e controle no cumprimento da lei.

VI – CONCLUSÃO                                                                             

Como visto, a nova Lei Geral de Proteção de Dados Pessoais, reflexo da evolução legislativa brasileira, propiciou um salto de qualidade normativa na regulamentação do tema, funcionando como alicerce instrumental para impedir (ou ao menos reprimir) as contendas jurídicas que, no século XXI, crescem a ritmo acelerado, colocando em xeque, cada vez mais, o direito à privacidade.

A rigor, a lei não impede a formação de banco de dados, tampouco o armazenamento ou a exploração das informações. O que ela pretende obstar é que tudo isso seja feito sem o consentimento do titular, sem observância à finalidade, transparência, garantia da confidencialidade, autenticidade e integridade que permeiam, per se, tais informações.

O avanço tecnológico, as diferentes estratégias de mercado e a busca avassaladora do lucro na sociedade capitalista transformaram os bancos de dados numa grande fonte de receita, ainda que, para tanto, haja infração aos direitos fundamentais dos titulares. Por mais que exista um ganho (in)direto aos consumidores, que muitas vezes se beneficiam dos bancos de dados, a exemplo do cadastro positivo, o Direito precisa compatibilizar a livre iniciativa com aquele núcleo duro constitucional que abriga o respeito à esfera privada e a intimidade dos cidadãos.

Levando-se em consta os aspectos culturais e a falta de rigidez com que vinham sendo tratadas, no Brasil, as relações jurídicas decorrentes da formação de banco de dados pessoais, a busca deste equilíbrio se revela desafiadora. A transformação digital – que traz ínsita os bancos de dados pessoais – é uma realidade sem volta que o Direito precisa reconhecer e enfrentar, com parcimônia e sabedoria.

A nova Lei de Proteção Geral dos Dados Pessoais é uma prova do amadurecimento do Direito como ciência, mas, sem a necessária aplicabilidade, não passará de um singelo conjunto de signos, muito longe do patamar de relevância e proteção para o qual foi criada. É necessário que os doutrinadores, advogados, promotores e juízes compreendam o objetivo da lei e, em parceria com as instituições públicas e privadas, consigam propiciar harmonia entre a garantia da privacidade e a liberdade das empresas exercerem as suas atividades de forma lícita.

Todos precisam se (re)adequar, rapidamente, à nova sistemática que recai sobre a proteção dos dados pessoais, garantindo a autossuficiência das relações jurídicas e sociais, ainda que, para tanto, tenham de se submeter a uma profunda reformulação de cultura e conceitos. As questões contemporâneas, cada vez mais sofisticadas, aspiravam uma legislação ampla, atual e aderente, e foi isso que o Legislador tencionou e concretizou.

Esta mudança de paradigma legislativo, ocorrida com vultuosidade, adveio de uma insuficiência anterior e, nesse contexto, não trará soluções prontas e acabadas, sobretudo no período de transição. A dificuldade é uma característica intrínseca à mudança, e será preciso saber lidar com tal particularidade. Se houver a dedicação de todos a Lei Geral de Proteção de Dados Pessoais brasileira certamente cumprirá o seu ciclo contínuo de resolutividade, desenvolvimento e aperfeiçoamento.  É isso que realmente se pede e espera!

VII – BIBLIOGRAFIA                                                                       

BRANT, Cássio Augusto Barros. Marco Civil da Internet: comentários sobre a Lei 12.965/2014. Belo Horizonte: Editora D’Plácido, 2014.

CALVÃO, Filipa Urbano. A proteção de dados pessoais na Internet: desenvolvimentos recentes. Repositório Universidade Católica Portuguesa. Revista de Direito Intelectual. N. 02, 2015, p.01-19

CUEVA, Ricardo Villas Bôas. A insuficiente proteção de dados pessoais no Brasil. Revista de Direito Civil Contemporâneo. Vol. 13/2017. Out-Dez/2017, p.59-67

DONEDA, Danilo. A proteção dos dados pessoais como um direito fundamental. Revista Espaço Jurídico. V. 12, N. 02, Jul-Dez/11, p. 91-108

_______________ Da privacidade à proteção de dados pessoais. Rio de Janeiro: Renovar, 2006.

MORAIS, Maria Celina Bodin de. Apresentação In: RODOTÁ, Stefano. A vida na sociedade da vigilância: a privacidade hoje. Rio de Janeiro: Renovar, 2008.

NERY JUNIOR, Nelson; Nery, Rosa Maria de Andrade. Código Civil anotado e legislação extravagante. 2. ed. rev. e ampl. São Paulo: Ed. RT, 2004.

RODOTÁ, Stefano. A vida na sociedade da vigilância: a privacidade hoje. Rio de Janeiro: Renovar, 2008.

ROTUNDO, Rafael Pinheiro. Proteção de Dados. Revista dos Tribunais. V. 74/2017, p.133-158

[1] Advogado, Mestre em Direito pela Pontifícia Universidade Católica de São Paulo-PUC/SP e Doutorando em Direito pela Universidade Católica Portuguesa-UCP

[2] Advogado, Pós-graduando em Direito pela Universidade Presbiteriana Mackenzie

[3] DONEDA, Danilo. A proteção dos dados pessoais como um direito fundamental. Revista Espaço Jurídico. V. 12, N. 02, Jul-Dez/11, p. 91-108

[4]https://cetic.br/noticia/tic-domicilios-2016-aponta-estabilidade-no-numero-de-domicilios-conectados-por -meio-de-banda-larga-fixa/

[5] www.fecomercio.com.br

[6] CUEVA, Ricardo Villas Bôas. A insuficiente proteção de dados pessoais no Brasil. Revista de Direito Civil Contemporâneo. Vol. 13/2017. Out-Dez/2017, p.59-67

[7] Marins Manola foi uma das atrizes de ópera mais famosas dos Estados Unidos, fotografada com roupas íntimas, sem autorização, pelos fotógrafos Stevens e Myers. Pediu ao Tribunal de NY que impedisse os fotógrafos de publicarem a fotografia. A liminar foi concedida com base no direito à honra, e não propriamente no direito à privacidade.

[8] Willian Strange, um editor, estava na iminência de publicar um catálogo com desenhos e gravuras feitas por Prince Albert (Monarca) e sua esposa, a Rainha Vitória. Pediu à Corte de Chancery que impedisse a publicação do catálogo. A ação foi julgada procedente com base no direito de propriedade sobre as gravuras.

[9] Pollard compareceu à empresa Photographic, em Rochester, e pediu a revelação de algumas fotografias suas. Os fotógrafos, sem autorização, usaram os negativos para fazer uma cópia e utilizaram a fotografia em um cartão de canal comercializado. Pediu para suspender a distribuição e comercialização do cartão com sua imagem. O Tribunal julgou procedente a ação e reconheceu que houve a quebra de um termo contratual implícito firmado entre as partes.

[10] Paolo Pavesich lia o jornal Atlanta Constitution quando se reconheceu na foto de um anúncio da Seguradora New England. O anúncio colocava a figura de dois homens, em uma dessas comparações “antes e depois”. O primeiro era um homem doente. O outro era Pavesich, que parecia saudável, com um texto afirmando que ele havia adquirido um seguro. Pediu para suspender as publicações futuras do referido jornal e também em outros veículos de comunicação.

[11] https://dre.pt/declaracao-universal-dos-direitos-humanos

[12] https://www.echr.coe.int/Documents/Convention_POR.pdf

[13] http://www.cne.pt/sites/default/files/dl/2_pacto_direitos_civis_politicos.pdf

[14] http://www.planalto.gov.br/ccivil_03/Decreto/1990-1994/anexo/and678-92.pdf

[15]http://www2.camara.leg.br/legin/fed/consti/1824-1899/constituicao-35041-25-marco-1824-532540-pu blicacaooriginal-14770-pl.html

[16] http://www.planalto.gov.br/ccivil_03/Constituicao/Constituicao91.htm

[17] http://www.planalto.gov.br/ccivil_03/Constituicao/Constituicao34.htm

[18]http://www2.camara.leg.br/legin/fed/consti/1940-1949/constituicao-1946-18-julho-1946-365199-public acaooriginal-1-pl.html

[19]http://www2.camara.leg.br/legin/fed/consti/1960-1969/constituicao-1967-24-janeiro-1967-365194-publ icacaooriginal-1-pl.html

[20]http://www2.camara.leg.br/legin/fed/consti/1988/constituicao-1988-5-outubro-1988-322142-publicacao original-1-pl.html

[21] CUEVA, Ricardo Villas Bôas. A insuficiente proteção de dados pessoais no Brasil. Revista de Direito Civil Contemporâneo. Vol. 13/2017. Out-Dez/2017, p.59-67

[22] 1. Todos os cidadãos têm o direito de acesso aos dados informatizados que lhes digam respeito, podendo exigir a sua retificação e atualização, e o direito de conhecer a finalidade a que se destinam, nos termos da lei. 2. A lei define o conceito de dados pessoais, bem como as condições aplicáveis ao seu tratamento automatizado, conexão, transmissão e utilização, e garante a sua proteção, designadamente através de entidade administrativa independente. 3. A informática não pode ser utilizada para tratamento de dados referentes a convicções filosóficas ou políticas, filiação partidária ou sindical, fé religiosa, vida privada e origem étnica, salvo mediante consentimento expresso do titular, autorização prevista por lei com garantias de não discriminação ou para processamento de dados estatísticos não individualmente identificáveis. 4. É proibido o acesso a dados pessoais de terceiros, salvo em casos excecionais previstos na lei. 5. É proibida a atribuição de um número nacional único aos cidadãos. 6. A todos é garantido livre acesso às redes informáticas de uso público, definindo a lei o regime aplicável aos fluxos de dados transfronteiras e as formas adequadas de proteção de dados pessoais e de outros cuja salvaguarda se justifique por razões de interesse nacional. 7. Os dados pessoais constantes de ficheiros manuais gozam de proteção idêntica à prevista nos números anteriores, nos termos da lei.

[23] https://www.cnpd.pt/bin/legis/internacional/Convencao108.htm

[24] https://eur-lex.europa.eu/legal-content/PT/ALL/?uri=celex%3A31995L0046

[25] http://www.europarl.europa.eu/charter/pdf/text_pt.pdf

[26] https://www25.senado.leg.br/web/atividade/materias/-/materia/40242

[27] http://www.camara.gov.br/sileg/Prop_Detalhe.asp?id=19753&st=1

[28] http://www.camara.gov.br/proposicoesWeb/fichadetramitacao?idProposicao=48659

[29]http://www.camara.gov.br/proposicoesWeb/prop_mostrarintegra;jsessionid=165DA6C3D2DE4552DBAF4D5C559748E2.node2?codteor=230531&filename=Avulso+-PL+123/2003

[30] https://www.lexml.gov.br/urn/urn:lex:br:camara.deputados:projeto.lei;pl:2003-11-05;2423

[31] http://www.camara.gov.br/proposicoesWeb/fichadetramitacao?idProposicao=112893

[32] https://www25.senado.leg.br/web/atividade/materias/-/materia/67159

[33] https://www25.senado.leg.br/web/atividade/materias/-/materia/106768

[34] https://www25.senado.leg.br/web/atividade/materias/-/materia/113947

[35] https://www.camara.gov.br/proposicoesWeb/fichadetramitacao?idProposicao=2084378

[36]Art. 139 – Difamar alguém, imputando-lhe fato ofensivo à sua reputação

[37] Art. 140 – Injuriar alguém, ofendendo-lhe a dignidade ou o decoro

[38] Art. 216-B.  Produzir, fotografar, filmar ou registrar, por qualquer meio, conteúdo com cena de nudez ou ato sexual ou libidinoso de caráter íntimo e privado sem autorização dos participantes

[39] rt. 241-A.  Oferecer, trocar, disponibilizar, transmitir, distribuir, publicar ou divulgar por qualquer meio, inclusive por meio de sistema de informática ou telemático, fotografia, vídeo ou outro registro que contenha cena de sexo explícito ou pornográfica envolvendo criança ou adolescente

[40] Art. 150 – Entrar ou permanecer, clandestina ou astuciosamente, ou contra a vontade expressa ou tácita de quem de direito, em casa alheia ou em suas dependências:

[41] Art. 153 – Divulgar alguém, sem justa causa, conteúdo de documento particular ou de correspondência confidencial, de que é destinatário ou detentor, e cuja divulgação possa produzir dano a outrem:

[42] Art. 151 – Devassar indevidamente o conteúdo de correspondência fechada, dirigida a outrem:

[43] Art. 72. Impedir ou dificultar o acesso do consumidor às informações que sobre ele constem em cadastros, banco de dados, fichas e registros:

[44] Art. 73. Deixar de corrigir imediatamente informação sobre consumidor constante de cadastro, banco de dados, fichas ou registros que sabe ou deveria saber ser inexata:

[45] http://www.planalto.gov.br/ccivil_03/LEIS/2002/L10406.htm

[46] Art. 154-A.  Invadir dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita

[47] http://www.planalto.gov.br/CCIVIL_03/LEIS/L9472.htm

[48] Art. 20. Salvo se autorizadas, ou se necessárias à administração da justiça ou à manutenção da ordem pública, a divulgação de escritos, a transmissão da palavra, ou a publicação, a exposição ou a utilização da imagem de uma pessoa poderão ser proibidas, a seu requerimento e sem prejuízo da indenização que couber, se lhe atingirem a honra, a boa fama ou a respeitabilidade, ou se se destinarem a fins comerciais

[49] Art. 43. O consumidor, sem prejuízo do disposto no art. 86, terá acesso às informações existentes em cadastros, fichas, registros e dados pessoais e de consumo arquivados sobre ele, bem como sobre as suas respectivas fontes

[50] https://presrepublica.jusbrasil.com.br/legislacao/1027983/lei-12414-11

[51] http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2011/lei/l12527.htm

[52] http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm

[53] https://presrepublica.jusbrasil.com.br/legislacao/612902269/lei-13709-18

[54] http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm

[55] https://www.camara.gov.br/proposicoesWeb/fichadetramitacao?idProposicao=548066

[56] https://www25.senado.leg.br/web/atividade/materias/-/materia/133486

[57] http://www.planalto.gov.br/ccivil_03/_Ato2015-2018/2018/Msg/VEP/VEP-451.htm

[58] http://retps.org.br/

[59] Art. 55-A. Fica criada, sem aumento de despesa, a Autoridade Nacional de Proteção de Dados – ANPD, órgão da administração pública federal, integrante da Presidência da República

[60] Art. 64. Os direitos e princípios expressos nesta Lei não excluem outros previstos no ordenamento jurídico pátrio relacionados à matéria ou nos tratados internacionais em que a República Federativa do Brasil seja parte

[61]CALVÃO, Filipa Urbano. A proteção de dados pessoais na Internet: desenvolvimentos recentes. p.01-19